JSSM

情報セキュリティの日

ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

コーポレート・ガバナンス研究会

公開討論会「内部統制のフレームワークの研究」
2007年2月25日
発表者

幹事

村田 一

主査

山本 明知

メンバー

三品 利郎

© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

0

JSSM

目次

ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

１．コーポレート・ガバナンス研究会の活動概要
２．COSO とは〔内部統制のフレームワークのデファクトスタンダード〕

３．COSO「中小企業向けガイダンス」 とは〔米国企業改革法(US-SOX)への対応〕

４．COSO-ERM とは〔 Enterprise Risk Management
エンタープライズ・リスクマネジメント〕
1© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

１.コーポレート・ガバナンス研究会の活動概要 ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会
・2001年2月～2004年1月 --《事例発表および講義の受講》-・旧「システム監査研究会」から「コーポレートガバナンス研究会」へ衣替え。
・研究対象を コーポレートガバナンス に拡張。
・年6回のペースで、研究会内部メンバーの事例発表と外部の専門家による講義

・2004年 ⇒ 学会活性化活動「研究会テーマと全国大会発表の連動」-----《COSO研究 第1期》-----------------------------・2004年1月～2004年5月 COSO-ERMの公開草案（英文）を要約
・2004年6月
第18回全国大会にて発表-----《COSO研究 第2期》-----------------------------・2004年11月～2005年5月 COSO-ERMの「適用技法」（英文）を要約
・2005年6月
第19回全国大会にて発表-----《COSO研究 第3期》-----------------------------・2005年11月～2006年5月 COSO「中小企業向けガイダンス」（英文）を要約
・2006年6月
第20回全国大会にて発表
2© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

２．COSO とは ①

JSSM
ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

COSOとは？：米国の「トレッドウェイ委員会」組織委員会（The Committee of Sponsoring Organizations of the TreadwayCommission）の頭文字を取り COSO と呼ばれている。
〔 トレッドウェイ委員会：‘不正な財務報告全米委員会’〕
・アメリカ公認会計士協会、アメリカ会計学会、財務担当経営協会、内部監査人協会、管理会計士協会のもと1985年に設立され、内部統制を対象とした多くの勧告を行った。
・さらに、トレッドウェイ委員会組織委員会に対して内部統制に関する指針の策定を要請

COSOレポート：
COSOが、1992年にまとめた「内部統制の統合的枠組み」（Internal Control - Integrated Framework）はCOSOレポートと呼ばれ、内部統制のフレームワークとしてデファクトスタンダードとなっている。
3© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

２．COSOとは②〔内部統制のフレームワークの流れ〕ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会
年月出来事

説明

1970年代～米国：企業スキャンダルやそれに伴う不正な財務報告が続発

ウォーターゲート事件、ロッキード事件 他

1977年

米国：海外不正支払い防止法成立

外国公務員への賄賂提供禁止

1985年

不正な財務報告全米委員会（通称トレッドウェ
イ委員会）設立

1987年：不正な財務報告に関する国家委員会のまとめ

1992年

COSO「内部統制の統合的枠組み」公表

内部統制のフレームワークを定義

1994年

BISｶﾞｲﾄﾞﾗｲﾝ（ﾃﾞﾘﾊﾞﾃｨﾌﾞ取引に関する民間金融機関のﾘｽｸ管理ｶﾞｲﾄﾞﾗｲﾝ ）COSO内部統制のﾌﾚｰﾑﾜｰｸが取り入れる。日銀や金融庁がこれを元に指導開始

1990年末～米国：企業の粉飾決算などのスキャンダル

エンロン事件（2001年12月破綻)、ワールドコム事件 等

2002年7月

米国：SOX法成立

404条：内部統制のフレームワーク報告義務

2003年6月

証券取引委員会（SEC)が企業改革法の最重要条項に関する最終規則を発表

同法を適用・施行するための解釈

2004年9月

COSO-ERM、及びERM適用技法公表

全社的なリスクマネジメントの概念を導入

2005年6月

日本「新会社法」成立（施行は2006年5月1日）「業務の適正を確保するための体制」設置義務付け

2005年10月

COSO 「中小企業向けｶﾞｲﾀﾞﾝｽ」公開草案公表

中小企業向け「内部統制の統合的フレームワーク」実装のための指針

2005年12月

日本金融庁「財務報告に係る内部統制の評
価及び監査の基準のあり方について」公表

日本版SOX法基準案

2006年6月

金融商品取引法成立

日本版SOX法

2006年12月

内部統制報告書「実施基準」公表© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved4

２．COSO とは③ 〔3つの目的と５つの要素〕

JSSM
ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

COSO 「内部統制の統合的枠組み」（COSO Internal Control –Integrated Framework)■内部統制の３つの目的(1)業務の有効性と効率性[Effectiveness and Efficiency of Operations](2)財務報告の信頼性[Reliability of Financial Reporting](3)関連法規の遵守[Compliance with applicable laws and regulations]■内部統制の５つの構成要素(1)統制環境 [Control Environment](2)リスクの評価 [Risk Assessment](3)統制活動 [Control Activities](4)情報と伝達 [Information & Communication](5)監視活動（モニタリング）[Monitoring]

出典：COSO Online COSO Framework Original Cube

5
© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

３.COSO「中小企業向けガイダンス」とは①要点<1> ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会
要約（Executive Summary)■ 目的
１. 中小企業とその監査者が「内部統制の統合的枠組み」を適用する際に、財務報告に係る内部統制の効果を評価して報告することに関して支援するためのガイダンスを提供
２. 効果的な内部統制をコスト効率のよい方法で設計して実装する方法を解説■ 本枠組みを適用するにあたり、中小企業が特に注意をすべき事項
１. 「統制環境」が大変重要であること
２. どのような統制が必要であるかを見極めるために、信頼出来る財務報告を作成するに当たってのリスクを検討すること
３. 「統制活動」には、最低限のフォーマル化が必要であること
４. ITにより効果的な内部統制が達成できること
５. 内部統制の効果の「監視活動（モニタリング）」は、中小企業においては様々な形態をとること
６. 従業員は、財務報告に関連する目標、リスク、統制に関する自分の責任を理解していること
6© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

３.COSO「中小企業向けガイダンス」とは②要点<2> ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会
ガイダンス①概説 (Overview)■ 公開する財務諸表の作成に係る内部統制とは会社の取締役会、経営者その他の人々に影響を受け、財務諸表が信頼できるように作成されるという目標の達成について合理的な保証を提供するよう設計されたプロセスと、 「内部統制の統合的枠組み」では定義 される■ SOX法（サーべンス・オクスリー法）
中小企業が法４０４条を履行しようとした場合、ことに「内部統制の統合的枠組み」を適用してそれを行おうとした場合、大企業とは異なった試みが必要となる。そのため、証券取引委員会（ＳＥＣ）の主任会計官からCOSOがガイダンスの作成を要請され、４０４条が目的とするところに焦点を当てて作成されたのが本ガイダンスである。
■ 中小企業に対して財務報告に係る実効性のある内部統制を構築するための近道を提示するといった形での安心を提供するものではない。内部統制のすべての構成要素とそれに関連する２６の原則は、財務報告に係る実効性のある内部統制を構築するために同じ位置付けになくてはならない。しかし、中小企業がその原則を実行する場合には、手法の規模が異なってくる。
7© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

３.COSO「中小企業向けガイダンス」とは③の要点<3>ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会
ガイダンス② 中小企業の観点 (Smaller Companies’ Perspective)■ COSOの中小企業定義
単純な製品ラインと処理、創業者や一握りの所有者が事業経営を占有、統制に関して経営者の関与の幅が広い．．etc.

■ 中小企業において内部統制を導入する際の問題点
１. 職務の分離
２. マネジメントオーバーライド（暴走）３．取締役会や監査委員会メンバの確保
４．よい経理担当者の確保
５．情報技術の管理能力■ 効果的な内部統制達成には「事後対策であるモニタリング」と「統制環境の構築における経営陣の個人的な関与」
１. 直接的な監督と経営陣の気質の影響が大きいという意味で、統制環境強化
２. 監視活動機能をより強調（統制活動よりむしろ監視活動を重視）

出典：COSO “Internal Control- Integrated Framework, Guidance for Smaller PublicCompanies Reporting on Internal Control over Financial Reporting”

8© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

４．COSO-ERM とは ①

ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

COSO 「エンタープライズ・リスクマネジメントの統合的枠組み」（COSO-ERM 〔Enterprise Risk Management〕)■ERMの４つの目的(1) 戦略 [Strategic](2) 業務 [Operationｓ](3) 報告 [Reporting](4) コンプライアンス[Compliance]■ERMの８つの構成要素(1) 内部環境 [Internal Environment](2) 目標設定 [Objective Setting](3) 事象特定 [Event Identification](4) リスク評価 [Risk Assessment](5) リスク対応 [Risk Response](6) 統制活動 [〔Control Activities](7) 情報と伝達 [Information and Communication](8) 監視活動 [Monitoring]
出典： COSO Enterprise Risk Management – Integrated Framework : Executive Summary
9© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

４．COSO-ERM とは ②

ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

・エンタープライズ・リスクマネージメントの定義：
全社的にリスクを識別しマネージするための枠組み
・事業体の取締役会、経営者および他の経営管理者によって遂行され、・戦略策定に用いられ、また、企業全体に適用され、・事業体に影響を及ぼす可能性のある潜在的事象を特定し、・事業体の目標達成に関して合理的な保証を与えるために、・事業体のリスク選好〔Risk Appetite〕の範囲内でリスクを管理するように設計された、プロセスである。

・従来型のリスクマネジメントとの違い
ポイント

従来型のリスクマネジメント

エンタープライズ・リスクマネジメント

実施主体

断片的 縦割り （サイロ型）

統合的 全社横断的

情報・組織

断片的 部門単位

統合的 全社的共通認識

時間軸

アドホック 短期的

継続的 中長期的

対象範囲

狭い焦点(個別、特定のリスク）広い焦点（すべてのリスク）

経営環境

経営環境の変化が少ない場合に適す

経営環境の変化が激しい場合に適す

10© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

４．COSO-ERM とは ③

ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会《 ＣＯＳＯレポートとの主な相違点 》「目的」概念の拡大
COSO-ERM

ＣＯＳＯレポート

変更点(1) 戦略

新目的の追加(2) 業務(1) 業務変更なし(3) 報告(2) 財務報告概念の拡大(4) コンプライアンス(3) コンプライアンス

変更なし「構成要素」の拡張・精緻化
COSO-ERM

ＣＯＳＯレポート変更点(1) 内部環境(1) 統制環境概念の拡大(2) 目標設定―

新構成要素の追加(3) 事象特定(4) リスク評価(2) リスク評価

分割と内容の高度化(6) 統制活動(3) 統制活動

変更なし(7) 情報と伝達(4) 情報と伝達概念の拡大(8) 監視活動(5) 監視活動

変更なし(5) リスク対応

11© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

４．COSO-ERMとは ④〔構成要素(1)〕ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

内部環境InternalEnvironment

リスクマネジメントの哲学－リスク文化－取締役会－誠実性と倫理的価値－権限の委譲－経営哲学と経営スタイル－リスク選好(Risk Appetite☆)－組織構造－権限の委譲と責任－人材の育成ポリシーと実践

目標設定
ObjectiveSetting

中長期目標（Strategic Objectives)－関連目標－選択された目標－リスク選好－リスク許容度（Risk tolerance☆☆)

事象特定EventIdentification

事象－中長期計画と目標に影響を与える要因－事象特定の技術と方法論－事象の相互依存性－事象のカテゴリ－リスクと機会（Ｏｐｐｏｒtuniｔiｙ）☆Risk Appetite- The broad-based amount of risk a company
or other entity is willing to accept in pursuitof its mission or vision.

☆☆Risk Tolerance– The acceptable variation relative to the12achievement of objectives.
© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

４．COSO-ERMとは ⑤〔構成要素(2)〕ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

対応前リスクと残存リスク
リスク評価Risk Assessment －発生頻度と影響の算定－定性的な方法論、定量的方法論と技術－事象の相互関係

リスク対応
Risk Response

リスクへの対応を識別－実施可能なリスクへの対応の綿密な評価－選択されたリスクへの対応 －ポートフォリオ的な見方

統制活動
ControlActivities

リスクへの対応を統合－コントロール活動の類型 －最上位のコントロール－業務機能のコントロール －組織の独自性

情報と伝達
Information andCommunication

情報－中長期的に統合されたシステム－コミュニケーション

監視活動
Monitoring

独立評価(Separate Evaluations)
継続的評価 (Ongoing Evaluations)

13© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved

JSSM

４．COSO-ERMとは ⑥〔構成要素(3)〕ｺｰﾎﾟﾚｰﾄｶﾞﾊﾞﾅﾝｽ研究会

図５
各コンポーネントの関係
各構成要素の関係
内部環境
z リスクマネージメント哲学
z リスク選好目標設定
z 目標

z 機会一覧表

z 測定単位(尺度)z リスク許容度

事象識別z リスク一覧表

リスク評価
z 評価した固有リスク

z 評価した残余リスク

z リスク対応

リスク対応
z リスク対応
z ポートフォリオビュー

コントロール活動
z アウトプットz 指標
z 報告

モニターリング
出典 COSO The Committee of Sponsoring Organizations of the Treadway Commission“Enterprise Risk Management – Integrated framework Application techniques” September 2004

514

© JSSM コーポレートガバナンス研究会 2007 Ａｌｌ Rights Reserved